В разрешении отказано с помощью os.setuid () в uvloop - PullRequest
Новая
       118

В разрешении отказано с помощью os.setuid () в uvloop

1 голос
/ 08 мая 2020

Мне нужно запустить подпроцесс в моем основном процессе от имени пользователя «none», введите такой код: 

# os.setuid(65534)  # out the set_id work fine!!

logging.warning(f"outside user: {getpass.getuser()}")
# output: outside user: root

def set_id() -> None:
    logging.warning(f"sub !sub! process user id is {os.getuid(), os.getgid(), os.getgroups()}!!!!!!!!!!!!")
    # output: root:sub !sub! process user id is (0, 0, [])!!!!!!!!!!!!
    assert os.getuid() == 0

    logging.warning(f"inside user: {getpass.getuser()}")
    # output: inside user: root

    # os.setgid(65534)  # work fine
    os.setuid(65534)  # can't work

pro = await asyncio.subprocess.create_subprocess_exec(
    # *tmp_cmd,
    "ls",
    stdout=asyncio.subprocess.PIPE,
    stdin=asyncio.subprocess.PIPE,
    stderr=asyncio.subprocess.PIPE,
    cwd=self._cwd,
    preexec_fn=set_id,
    start_new_session=True,
    close_fds=True,
)

Когда я вызываю os.setuid(65534), вызывает ошибку PermissionError: [Errno 13] Permission denied.
Но os.setgid(65534) работает нормально.
Дополнительная информация:

  • Внутри функции set_id os.getuid(), os.getgid(), os.getgroups() выходит (0, 0, [])
  • За пределами set_id, os.setuid(65534) работают нормально.
  • getpass.getuser() == "root"

Вот почему? Как я могу это исправить? Заранее спасибо.
Traceback: 

ERROR:uvicorn.error:Exception in ASGI application
Traceback (most recent call last):
  File "/usr/local/lib/python3.7/dist-packages/uvicorn/protocols/websockets/websockets_impl.py", line 153, in run_asgi
    result = await self.app(self.scope, self.asgi_receive, self.asgi_send)
  File "/usr/local/lib/python3.7/dist-packages/uvicorn/middleware/proxy_headers.py", line 45, in __call__
    return await self.app(scope, receive, send)
  File "/usr/local/lib/python3.7/dist-packages/fastapi/applications.py", line 149, in __call__
    await super().__call__(scope, receive, send)
  File "/usr/local/lib/python3.7/dist-packages/starlette/applications.py", line 102, in __call__
    await self.middleware_stack(scope, receive, send)
  File "/usr/local/lib/python3.7/dist-packages/starlette/middleware/errors.py", line 146, in __call__
    await self.app(scope, receive, send)
  File "/usr/local/lib/python3.7/dist-packages/starlette/middleware/cors.py", line 68, in __call__
    await self.app(scope, receive, send)
  File "/usr/local/lib/python3.7/dist-packages/starlette/exceptions.py", line 58, in __call__
    await self.app(scope, receive, send)
  File "/usr/local/lib/python3.7/dist-packages/starlette/routing.py", line 550, in __call__
    await route.handle(scope, receive, send)
  File "/usr/local/lib/python3.7/dist-packages/starlette/routing.py", line 283, in handle
    await self.app(scope, receive, send)
  File "/usr/local/lib/python3.7/dist-packages/starlette/routing.py", line 57, in app
    await func(session)
  File "/usr/local/lib/python3.7/dist-packages/fastapi/routing.py", line 209, in app
    await dependant.call(**values)
  File "/opt/MakerServer/app/api/routes/websockets_runner/runner.py", line 21, in wss_back
    process = await WSProcess.create(file_m, ws=websocket)
  File "/opt/MakerServer/app/services/processer.py", line 100, in create
    self.proc: asyncio.subprocess.Process = await self._create_sub_process()  # type: ignore
  File "/opt/MakerServer/app/services/processer.py", line 136, in _create_sub_process
    close_fds=True,
  File "/usr/lib/python3.7/asyncio/subprocess.py", line 217, in create_subprocess_exec
    stderr=stderr, **kwds)
  File "uvloop/loop.pyx", line 2749, in subprocess_exec
  File "uvloop/loop.pyx", line 2707, in __subprocess_run
  File "uvloop/handles/process.pyx", line 596, in uvloop.loop.UVProcessTransport.new
  File "uvloop/handles/process.pyx", line 98, in uvloop.loop.UVProcess._init
PermissionError: [Errno 13] Permission denied

1 Ответ

1 голос
/ 08 мая 2020

Вопрос не содержит всех элементов, но вот что я бы увидел:

  • os.setuid не может сгенерировать errno 13. Ошибка разрешения из setuid будет EPERM, что является ошибкой 1.
  • поэтому я считаю, что это не os.setuid, который генерирует исключение.
  • я предполагаю, что исключение сгенерировано после ваша функция set_id возвращается, когда Popen пытается открыть какой-либо файл от имени пользователя 65534 (это может быть целевой исполняемый файл, некоторая библиотека или некоторый файл конфигурации, который загружается по строке).

Как продолжить, чтобы решить эту проблему:

  • подтвердите проблему, добавив блок try catch вокруг os.setuid. Я на 99% уверен, что он не сработает.
  • затем попробуйте запустить свою команду из оболочки с su как никто. Скорее всего, вы получите ту же ошибку.

Вы также можете использовать strace -f в своей программе, чтобы увидеть, какой системный вызов терпит неудачу и с какими параметрами он вызывается. Это должно указать вам правильное направление.

...